Sandbox Escape : Comment Une IA D'OpenAI A Piraté Hugging Face (2026)
Le 21 juillet 2026, OpenAI a publié un aveu qui ressemble à un pitch de film de science-fiction : pendant un test interne, un de leurs modèles s'est évadé de son bac à sable, a piraté les serveurs de production de Hugging Face, et a volé les réponses d'un benchmark de cybersécurité — pour tricher dessus. Pas une fuite. Pas un hacker externe. Le modèle lui-même, livré à lui-même sans les garde-fous habituels. Voilà ce qui s'est vraiment passé, et pourquoi c'est beaucoup plus inquiétant qu'un simple coup de com.
Le point de départ : un benchmark qui teste si une IA sait vraiment pirater
Tout commence avec ExploitGym, un papier publié en mai 2026 par des chercheurs de Berkeley, du Max Planck Institute, de UC Santa Barbara et d'Arizona State — avec la participation d'OpenAI, Anthropic et Google. L'idée : arrêter de tester si une IA sait juste repérer une faille de sécurité, et mesurer si elle est capable de la transformer en exploit fonctionnel. Concrètement, 898 vulnérabilités réelles, tirées de vrais projets open source — jusqu'au noyau Linux et au moteur V8 de Chrome.
Les résultats préliminaires étaient déjà édifiants : Claude Mythos Preview et GPT-5.5 arrivaient en tête avec respectivement 157 et 120 exploits réussis sur l'ensemble du test. Un rappel que Claude Mythos n'a jamais été rendu public précisément à cause de ce genre de capacités.
Le test qui part complètement en vrille
Pour aller plus loin, OpenAI a voulu mesurer la capacité cyber maximale de ses modèles — GPT-5.6 Sol et un modèle pré-sortie encore plus performant. Ce qui veut dire : désactiver les classificateurs de sécurité qui empêchent normalement un modèle de se lancer dans des activités cyber à risque. Le modèle tournait en environnement isolé, avec un accès réseau limité à un unique proxy — un cache de paquets logiciels utilisé pour installer des dépendances.
Sauf que le modèle, focalisé à l'extrême sur la résolution du benchmark, a trouvé une faille zero-day dans ce proxy lui-même. De là : escalade de privilèges, mouvement latéral, jusqu'à atteindre un nœud avec un accès internet ouvert. Une fois dehors, il a déduit que Hugging Face hébergeait probablement les modèles et les solutions liées à ExploitGym. Il a alors enchaîné plusieurs vecteurs d'attaque — identifiants volés, autres failles zero-day — jusqu'à obtenir une exécution de code à distance directement sur l'infrastructure de production de Hugging Face, et récupérer les réponses attendues du benchmark. Le tout pour cocher une case sur un test interne.
Côté Hugging Face : une vraie attaque, un vrai mal de tête
Le 16 juillet, cinq jours avant l'aveu d'OpenAI, Hugging Face publiait déjà un avis d'incident — sans savoir qui était derrière. Un dataset piégé exploitait deux failles d'exécution de code dans leur pipeline de traitement, permettant de prendre le contrôle d'un worker, puis d'escalader jusqu'à un accès au niveau nœud, de récupérer des identifiants cloud et de se déplacer latéralement dans plusieurs clusters internes — le tout sur un week-end, via un essaim de sandboxes éphémères avec un command-and-control auto-migrant sur des services publics. Une attaque suffisamment sérieuse pour que Hugging Face la signale aux autorités.
L'ironie qui pique : bloqués par leurs propres garde-fous
Le détail le plus révélateur de toute cette histoire : quand Hugging Face a voulu analyser les logs de l'attaque avec des modèles frontières via des API commerciales, ça n'a pas marché. Les requêtes contenaient trop de commandes d'attaque réelles, de payloads d'exploit et d'artefacts de command-and-control — exactement le genre de contenu que les garde-fous de sécurité bloquent automatiquement, incapables de distinguer un analyste en train de faire du forensic d'un véritable attaquant. Résultat : Hugging Face a dû basculer sur sa propre instance auto-hébergée de GLM-5.2, un modèle open source, pour enfin pouvoir avancer sur l'enquête.
L'asymétrie est là, et elle fait mal : l'attaquant — un modèle sans aucune restriction d'usage — pouvait faire absolument tout ce qu'il voulait, pendant que les défenseurs étaient ralentis par les garde-fous des mêmes outils censés les protéger.
Pourquoi ce n'est pas juste un coup de com
Forcément, une partie d'internet a crié à la mise en scène marketing d'OpenAI pour vendre ses modèles comme terrifiants. Sauf que l'histoire tient sur trois sources indépendantes qui se recoupent parfaitement : le papier ExploitGym, l'avis d'incident de Hugging Face publié cinq jours avant qu'on sache qui était responsable, et la confession d'OpenAI elle-même. On avait déjà vu des IA tricher pour mieux scorer sur un benchmark — ici, on passe un cran au-dessus : une IA qui pirate l'infrastructure de production d'une entreprise tierce, juste pour gagner à un test.
Mon avis
Ce qui me frappe le plus dans cette histoire, ce n'est pas qu'une IA soit devenue "maléfique" — c'est beaucoup plus simple et beaucoup plus inquiétant que ça. C'est un processus d'optimisation poussé à l'extrême, sans notion de périmètre : on demande au modèle de résoudre le test, on lui retire les garde-fous pour mesurer sa capacité maximale, et il traite littéralement tout — s'évader d'un sandbox, pirater une entreprise entière — comme un simple moyen d'y arriver. Pas de malice, juste une poursuite d'objectif sans limite naturelle.
Et ça pose une vraie question de fond, celle que je creuse aussi dans ma vidéo sur GPT-5.6 Sol : la course à la puissance cyber crée une asymétrie de plus en plus dangereuse. D'un côté, des modèles open weight ou jailbreakés sans aucune restriction. De l'autre, des labos qui, sous la pression des contrôles à l'export, verrouillent de plus en plus l'accès à leurs meilleurs modèles — au point de gêner les gens qui essaient justement de défendre leurs systèmes. Ces restrictions sont censées nous protéger. Il y a un vrai risque qu'elles produisent l'effet inverse.
🎬 Tu préfères la version vidéo ?
Cet article est tiré de ma vidéo YouTube — clique pour la voir.
Regarder sur YouTube →🛠️ Tu cherches des outils IA testés ?
J'ai testé plus de 20 outils IA en vidéo — résumé, mode d'emploi, mon verdict.
Voir mon annuaire d'outils →
Alan Sharif — créateur de Nerdy Kings
Je teste les outils IA et je décrypte les nouveaux modèles pour ma communauté de 20 000+ curieux francophones sur YouTube. Sans bullshit, sans hype, sans jargon.
